Responsabilité juridique et IA : qui paie quand l'algorithme se trompe ?

Votre outil d’IA générative produit un diagnostic erroné, un chatbot donne un conseil juridique fantaisiste à un client, un algorithme de recrutement écarte systématiquement certains profils : qui est responsable ? Le développeur, l’éditeur, votre entreprise qui a déployé l’outil, ou personne ?

La question n’a rien de théorique. En France, le cadre juridique de la responsabilité liée à l’intelligence artificielle repose sur un empilement de textes — Code civil, RGPD, règlement sur l’IA (AI Act), nouvelle directive sur les produits défectueux — dont l’articulation reste largement à construire. Le retrait, le 11 février 2025, de la proposition de directive européenne spécifique à la responsabilité en matière d’IA a laissé un vide que ni le droit national ni le droit européen ne comblent pleinement.

Cet article décortique les régimes de responsabilité applicables, leurs limites face aux spécificités de l’IA, et les réflexes concrets que toute entreprise doit adopter dès maintenant pour se protéger.

1. Le problème fondamental : l’IA ne rentre dans aucune case classique

Le droit français de la responsabilité civile a été conçu pour des situations où un humain commet une faute, ou une chose cause un dommage sous le contrôle d’un gardien identifiable. L’IA bouscule ces fondements sur trois plans.

L’autonomie décisionnelle constitue le premier obstacle. Contrairement à un logiciel classique qui exécute des instructions prédéfinies, un système d’IA fondé sur l’apprentissage automatique (machine learning) peut produire des résultats que son concepteur n’a ni prévus ni voulus. Une IA de recrutement peut développer des biais discriminatoires absents de sa programmation initiale, simplement parce que les données d’entraînement reflétaient des pratiques historiques biaisées.

L’opacité algorithmique est le deuxième défi. Lorsqu’un modèle de langage génère une hallucination — une information fausse présentée avec aplomb — il est souvent impossible de retracer la chaîne causale exacte ayant conduit à cette erreur. Cette opacité rend extrêmement difficile la preuve d’une faute au sens de l’article 1240 du Code civil, qui exige de démontrer un fait générateur, un dommage et un lien de causalité.

La multiplicité des acteurs complique enfin l’identification du responsable. Entre le développeur du modèle de fondation, l’éditeur qui l’intègre dans un produit, l’intégrateur qui le personnalise et l’entreprise qui le déploie, la chaîne de valeur de l’IA dilue les responsabilités.

Attention : cette difficulté d’imputation n’est pas un argument pour ne rien faire. Les tribunaux français tendent à rechercher le responsable humain ou moral derrière la machine, et l’absence de cadre spécifique ne signifie pas l’absence de responsabilité.

2. Les régimes de droit commun applicables en France

En l’absence de régime spécifique à l’IA, le droit français offre plusieurs fondements pour engager la responsabilité en cas de dommage causé par un système d’intelligence artificielle.

La responsabilité pour faute (article 1240 du Code civil)

Le régime de droit commun de la responsabilité délictuelle reste applicable : quiconque cause un dommage par sa faute est tenu de le réparer. Appliqué à l’IA, cela signifie qu’une entreprise qui déploie un outil d’IA sans vérifier ses résultats, sans former ses équipes ou sans mettre en place de supervision humaine commet une faute susceptible d’engager sa responsabilité.

Comme le relève une analyse publiée sur Village-Justice, lorsqu’un professionnel utilise une information générée par une IA sans la vérifier, « ce n’est plus une erreur mais une faute ». Ce principe vaut pour les avocats, les médecins, les conseillers financiers et tout professionnel soumis à une obligation de diligence.

La responsabilité du fait des choses (article 1242 du Code civil)

L’article 1242 alinéa 1 du Code civil pose le principe selon lequel on est responsable « des choses que l’on a sous sa garde ». Ce régime de responsabilité de plein droit — qui ne nécessite pas la preuve d’une faute — pourrait s’appliquer aux systèmes d’IA. Le gardien, défini depuis l’arrêt Franck (1941) comme celui qui exerce les pouvoirs d’usage, de direction et de contrôle sur la chose, serait alors responsable des dommages causés par le système d’IA.

La Cour d’appel de Paris a exploré cette voie dans une fiche didactique sur la réparation des préjudices économiques liés aux systèmes d’IA. Elle propose de mobiliser la distinction doctrinale entre la garde de la structure (le fournisseur qui a conçu le système) et la garde du comportement (le déployeur qui l’utilise au quotidien) pour répartir équitablement la responsabilité.

Piège juridique : la plus ou moins grande autonomie d’un système d’IA rend cette distinction complexe. Un modèle de langage qui hallucine relève-t-il d’un défaut de structure (le modèle est mal conçu) ou d’un défaut de comportement (l’utilisateur l’a mal paramétré ou utilisé hors de son périmètre prévu) ?

La responsabilité contractuelle (article 1231-1 du Code civil)

Lorsqu’un dommage résulte de l’utilisation d’un système d’IA dans le cadre d’un contrat, la responsabilité contractuelle entre en jeu. Si une entreprise utilise un logiciel d’IA pour automatiser un processus et que ce logiciel génère une erreur causant un préjudice financier à un client, l’entreprise peut être tenue responsable selon qu’elle est soumise à une obligation de résultat ou de moyens.

3. L’AI Act et la responsabilité : ce que change le règlement européen

Le règlement (UE) 2024/1689 sur l’intelligence artificielle (dit AI Act), entré en vigueur le 1er août 2024 avec une application progressive, n’est pas un texte sur la responsabilité civile à proprement parler. C’est un texte de conformité réglementaire. Mais ses dispositions ont un impact direct sur la responsabilité des entreprises.

L’AI Act identifie cinq catégories d’acteurs dans la chaîne de valeur de l’IA : le fournisseur (provider), le déployeur (deployer), le mandataire, l’importateur et le distributeur. Les deux premiers portent l’essentiel des obligations.

Le fournisseur, défini par l’article 3 de l’AI Act, est la personne qui développe ou fait développer un système d’IA et le met sur le marché sous son propre nom. Le déployeur est toute personne ou organisation utilisant un système d’IA sous sa propre autorité dans un cadre professionnel.

Bon à savoir : l’article 25 de l’AI Act prévoit qu’un déployeur peut être requalifié en fournisseur s’il apporte une modification substantielle à un système d’IA à haut risque ou s’il change sa finalité prévue. Cette requalification entraîne l’application de l’ensemble des obligations pesant sur les fournisseurs.

Pour les systèmes d’IA à haut risque, l’article 26 de l’AI Act impose aux déployeurs des obligations précises : utiliser le système conformément aux instructions du fournisseur, assurer une surveillance humaine, contrôler la pertinence des données d’entrée, signaler les risques identifiés et conserver les journaux d’utilisation pendant au moins six mois.

En pratique : le non-respect de ces obligations constitue une faute qui facilitera considérablement l’engagement de la responsabilité civile de l’entreprise sur le fondement de l’article 1240 du Code civil. L’AI Act crée ainsi un standard de diligence dont l’inobservation pourra être retenue comme faute par les tribunaux.

4. Le retrait de la directive sur la responsabilité IA : un vide persistant

Le 11 février 2025, la Commission européenne a retiré de son programme de travail la proposition de directive sur la responsabilité en matière d’IA. Ce texte, présenté en septembre 2022, devait introduire pour la première fois des règles spécifiques aux dommages causés par des systèmes d’IA, notamment une présomption de causalité dispensant les victimes de la charge de la preuve.

Comme l’a analysé Euractiv, ce retrait s’inscrit dans un contexte de pression internationale et industrielle. Le Sommet de l’IA de Paris (10-11 février 2025) avait vu le vice-président américain JD Vance critiquer vivement la « surréglementation » européenne. Une coalition industrielle regroupant Google, Amazon et Meta avait officiellement demandé l’abandon du texte en janvier 2025, estimant qu’il introduirait une « complexité juridique excessive ». La France s’est également fortement opposée à cette directive depuis sa proposition initiale.

Ce retrait a des conséquences concrètes majeures :

Le risque de fragmentation juridique est réel. Sans harmonisation européenne, chaque État membre appliquera son propre droit national de la responsabilité civile. Comme le souligne une analyse du cabinet DDG, cela pourrait aboutir à 27 régimes différents, créant une insécurité juridique particulièrement problématique pour les PME opérant sur plusieurs marchés.

Le déséquilibre au profit des grandes entreprises technologiques se renforce. Sans directive, la répartition des risques sera principalement régie par des contrats privés, via les conditions générales d’utilisation des fournisseurs d’IA — conditions souvent assorties de clauses limitatives ou exonératoires de responsabilité.

Le commissaire Maroš Šefčovič a indiqué que la Commission pourrait « revenir sur la question avec une approche différente ». Une étude commandée par le Parlement européen, publiée en juillet 2025, préconise d’ailleurs l’adoption d’un régime autonome de responsabilité stricte pour les systèmes d’IA à haut risque.

5. La nouvelle directive sur les produits défectueux : le filet de sécurité

Face au retrait de la directive spécifique à l’IA, la directive (UE) 2024/2853 relative à la responsabilité du fait des produits défectueux, publiée le 18 novembre 2024, devient le principal instrument européen pour indemniser les victimes de dommages causés par des systèmes d’IA.

Cette directive, qui abroge le texte de 1985, opère une modernisation majeure. La définition de produit est élargie pour inclure explicitement les logiciels et les systèmes d’IA, mettant fin au débat sur leur qualification juridique. L’ancienne directive, limitée aux biens meubles, excluait de facto les logiciels — et donc les systèmes d’IA — de son champ d’application.

Comme l’analyse le cabinet DLA Piper, plusieurs innovations majeures s’appliquent directement aux systèmes d’IA :

L’évaluation de la défectuosité intègre désormais la capacité du produit à « continuer d’apprendre ou d’acquérir de nouvelles fonctionnalités après sa mise sur le marché » — une référence directe aux systèmes d’IA adaptatifs. Les exigences en matière de cybersécurité sont également prises en compte.

L’allègement de la charge de la preuve bénéficie aux victimes dans les cas complexes impliquant des produits utilisant l’IA. Le juge pourra présumer le lien de causalité lorsque le demandeur fait face à des « difficultés excessives, notamment en raison de la complexité technique ou scientifique ».

Les causes d’exonération sont restreintes : le fabricant ne peut plus invoquer le fait que le défaut est apparu après la mise sur le marché si ce défaut est dû à un logiciel ou à ses mises à jour — ce qui vise directement les IA qui évoluent de manière autonome.

Attention : cette directive ne couvre pas les dommages causés par des services utilisant l’IA (un conseil erroné d’un chatbot, par exemple), ni les situations relevant de la responsabilité pour faute (discrimination algorithmique). Ces lacunes étaient précisément celles que la directive retirée sur la responsabilité IA devait combler.

6. Le RGPD : un levier de responsabilité souvent sous-estimé

Le règlement général sur la protection des données (RGPD) constitue un fondement autonome de responsabilité lorsqu’un système d’IA traite des données personnelles — ce qui est le cas dans l’immense majorité des déploiements professionnels.

L’article 22 du RGPD consacre le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou significatifs. Toute entreprise utilisant l’IA pour prendre des décisions affectant des individus (recrutement, scoring crédit, tarification d’assurance) doit garantir une intervention humaine significative et la possibilité pour la personne concernée de contester la décision.

L’article 82 du RGPD ouvre un droit à réparation pour toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement. Les amendes administratives, prononcées par la CNIL en France, peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial.

En pratique : le RGPD impose une analyse d’impact relative à la protection des données (DPIA) pour tout traitement automatisé susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. L’absence de DPIA avant le déploiement d’un système d’IA constitue en soi une infraction sanctionnable.

7. Les sanctions de l’AI Act : un barème dissuasif

L’article 99 de l’AI Act établit un régime de sanctions graduées, calqué sur le modèle du RGPD, qui entrera en application à compter du 2 août 2025 pour les premières catégories d’infractions. Comme le détaille le portail G_NIUS, les montants sont significatifs.

Pour les PME et startups, le principe de proportionnalité s’applique : c’est le montant le plus faible entre le pourcentage et le montant fixe qui est retenu.

Le calendrier d’application des sanctions est progressif :

• 2 février 2025 : entrée en vigueur des interdictions (art. 5) et de l’obligation de formation (art. 4)
• 2 août 2025 : application du chapitre sur les sanctions, les modèles d’IA à usage général et la gouvernance
• 2 août 2026 : applicabilité générale du règlement, y compris les obligations pour les systèmes à haut risque
• 2 août 2027 : obligations spécifiques aux systèmes d’IA intégrés dans des produits (art. 6 §1)

Piège juridique : même avant l’entrée en application des sanctions spécifiques de l’AI Act, une entreprise qui enfreint les règles peut être poursuivie sur d’autres fondements — RGPD, droit de la consommation, responsabilité civile de droit commun.

8. La chaîne de responsabilité : fournisseur, déployeur, utilisateur

La question pratique centrale pour toute entreprise est : dans la chaîne de valeur de l’IA, qui est responsable de quoi ?

Le fournisseur (développeur, éditeur) est responsable de la conception, de la sécurité intrinsèque du système et de la documentation technique. Comme le précise le Cigref dans son guide de mise en œuvre de l’AI Act, le fournisseur doit mettre en place un système de gestion des risques, garantir la qualité des données d’entraînement et assurer une surveillance post-commercialisation.

Le déployeur (l’entreprise utilisatrice) est responsable de l’utilisation conforme du système, de la supervision humaine effective et de la protection des droits fondamentaux des personnes affectées. Comme le détaille une analyse du cabinet Forvis Mazars, le déployeur doit désigner une personne compétente pour le contrôle humain, capable d’interpréter les résultats du système et d’intervenir si nécessaire.

L’utilisateur final (le salarié, le professionnel) conserve sa responsabilité professionnelle propre. Un avocat qui soumet des références jurisprudentielles inventées par un chatbot reste personnellement responsable devant son client et son Ordre.

Bon à savoir : sans clarification contractuelle, un déployeur qui modifie substantiellement un système d’IA ou change sa finalité peut être requalifié en fournisseur au sens de l’AI Act, avec toutes les obligations afférentes. Le guide pratique de 321Founded insiste sur la nécessité de clarifier ces rôles par contrat.

9. Cas pratiques : quand la responsabilité se matérialise

Plusieurs situations concrètes illustrent comment la responsabilité se répartit en pratique.

Hallucination d’un chatbot juridique. Un cabinet d’avocats utilise un outil d’IA générative pour rédiger des conclusions. L’outil invente une jurisprudence. L’avocat ne vérifie pas et la soumet au tribunal. Responsabilité : l’avocat (faute professionnelle, manquement au devoir de vérification), le cabinet (responsabilité du fait des préposés), potentiellement le fournisseur de l’outil si celui-ci n’a pas clairement indiqué les limites du système dans sa documentation.

Biais discriminatoire dans le recrutement. Une entreprise déploie un outil d’IA pour présélectionner des CV. L’algorithme écarte systématiquement les candidatures féminines. Responsabilité : l’entreprise déployeuse (violation du RGPD art. 22, discrimination à l’embauche au sens du Code du travail), le fournisseur (si le biais résulte d’un défaut de conception ou de données d’entraînement biaisées).

Erreur de diagnostic médical. Un système d’IA d’aide au diagnostic passe à côté d’une pathologie. Le médecin suit la recommandation de l’IA sans exercer son propre jugement clinique. Responsabilité : le médecin (faute médicale), l’établissement de santé (obligation de moyens), le fournisseur du dispositif médical (directive produits défectueux si le logiciel est défectueux).

10. Bonnes pratiques : 8 réflexes pour sécuriser votre utilisation de l’IA

Face à ce cadre juridique complexe et encore mouvant, voici les mesures concrètes que toute entreprise française utilisant l’IA doit mettre en place.

1. Cartographier vos systèmes d’IA. Identifiez chaque outil utilisant de l’IA dans votre organisation, déterminez votre rôle (fournisseur ou déployeur) et évaluez le niveau de risque selon les critères de l’AI Act.

2. Clarifier les responsabilités par contrat. Avec chaque fournisseur d’IA, négociez des clauses précisant qui assume la responsabilité en cas de dysfonctionnement, qui est « fournisseur » et qui est « déployeur » au sens de l’AI Act, et quelles garanties sont apportées sur la qualité des données d’entraînement.

3. Mettre en place une supervision humaine effective. Pour toute décision significative produite ou assistée par l’IA, désignez une personne compétente chargée de valider les résultats. Documentez ce processus de supervision.

4. Former vos équipes (obligation légale depuis le 2 février 2025). L’article 4 de l’AI Act impose une obligation générale de maîtrise de l’IA (AI literacy). Formez vos collaborateurs aux capacités et limites des outils qu’ils utilisent.

5. Réaliser une analyse d’impact. Pour les systèmes d’IA à haut risque ou traitant des données personnelles, effectuez une DPIA (RGPD) et une analyse d’impact sur les droits fondamentaux (AI Act).

6. Conserver les traces. Journaux d’utilisation, décisions prises, données d’entrée, résultats produits : conservez ces éléments pendant au moins six mois (obligation AI Act) et idéalement plus longtemps pour vous défendre en cas de contentieux.

7. Auditer régulièrement vos systèmes d’IA. Vérifiez la persistance de biais, la qualité des résultats, la conformité aux instructions d’utilisation du fournisseur. Documentez ces audits.

8. Anticiper la directive produits défectueux. Même si la transposition n’est prévue qu’au 9 décembre 2026, alignez dès maintenant vos pratiques sur les nouvelles exigences : traçabilité, documentation des défauts, procédures de signalement.

11. Ce qui va changer : les échéances à surveiller

Le cadre juridique de la responsabilité IA est en construction rapide. Voici les dates clés pour les entreprises françaises.

La Commission européenne a indiqué qu’elle évaluerait si une nouvelle proposition devait être déposée en matière de responsabilité IA. L’étude du Parlement européen publiée en juillet 2025 recommande l’adoption d’un régime de responsabilité stricte pour les systèmes d’IA à haut risque. Le sujet n’est donc pas clos.

En France, la désignation des autorités nationales compétentes pour l’application de l’AI Act (vraisemblablement la CNIL et la DGE) devait intervenir au plus tard en août 2025. La gouvernance française de l’IA se précisera dans les mois à venir.

En résumé

• Le droit français offre déjà plusieurs fondements pour engager la responsabilité en cas de dommage causé par l’IA : faute (art. 1240), fait des choses (art. 1242), produits défectueux (directive 2024/2853), RGPD
• L’AI Act crée un standard de diligence dont le non-respect constitue une faute exploitable en responsabilité civile, avec des sanctions pouvant atteindre 35 M€ ou 7 % du CA mondial
• Le retrait de la directive spécifique sur la responsabilité IA (février 2025) laisse un vide que la directive produits défectueux ne comble que partiellement
• La chaîne de responsabilité est partagée : le fournisseur répond de la conception, le déployeur de l’utilisation conforme, et le professionnel de son propre jugement
• L’obligation de supervision humaine est le fil rouge de tous les textes : c’est l’absence de contrôle humain qui transforme l’erreur de la machine en faute de l’homme
• Les entreprises doivent agir maintenant : cartographie, formation, contrats, audits et conservation des traces sont les piliers d’une stratégie de protection efficace